AB Projects 会在两个地方请求权限。管理员会为整个组织查看一次 Microsoft 同意屏幕；当应用被添加到团队或更新时，团队所有者会接受一份简短的团队权限列表。每一项都对应产品中可见的功能，其中大部分是委托访问，即应用以您的身份行事，绝不能做超出您本身权限的事情。
什么是 Microsoft Graph，这些权限用于什么？
Microsoft Graph 是 Microsoft 365 内置的 API — 应用访问 Teams、Outlook 和您个人资料的官方入口。AB Projects 将其用于四个方面：
频道链接与成员名册同步
将项目连接到正确的 Teams 频道，并自动将频道成员添加到项目中 — 请参阅添加或移除成员。
任务卡片与评论同步
将任务卡片和评论发布到频道话题中，并将该话题中的回复同步回任务 — 请参阅在频道中使用提及进行评论。
日历排程
当您选择为任务分配时间块时，为该任务创建 Outlook 日历事件，并安排会议。
登录（SSO）
使用您的 Microsoft 365 帐户免密码登录 — 请参阅SSO 与 Microsoft 登录。
组织范围的权限
这些是管理员在 Microsoft Entra ID 中同意一次的权限。委托 = 应用以已登录用户的身份行事，仅限于该用户本来就能执行的操作。应用程序 = 在没有用户登录时由 AB Projects 使用，用于后台工作，例如让项目成员与其频道保持一致。
| 权限 | 类型 | AB Projects 为何需要此权限 |
|---|---|---|
User.Read | 委托 | 登录并读取您的基本 Microsoft 365 个人资料。任何使用 Microsoft 登录的应用都需要此权限。 |
openid, profile, email | 委托 | 标准登录范围：对您进行身份验证，并读取您的姓名、头像和电子邮件地址，以便任务和评论归属于正确的人。 |
offline_access | 委托 | 让应用在后台刷新访问权限（例如日历同步），而不必在每次令牌过期时要求您重新登录。 |
Team.ReadBasic.All | 委托 | 读取您所属 Teams 团队的名称，以便将项目链接到正确的团队。 |
Channel.ReadBasic.All | 委托 | 读取基本的频道名称，以便在选项卡设置期间选择正确的频道并正确显示。 |
Group.Read.All | 委托 | 读取团队背后的 Microsoft 365 组 — 用于项目 ↔ 频道链接，以及将频道成员添加到项目的自动名册同步。 |
ChannelMessage.Send | 委托 | 当您更改任务或添加评论时，以您的身份发布到已链接的频道（包括对您所选成员的 @提及）。 |
ChannelMessage.ReadWrite | 委托 | 读取和发布频道消息，使任务评论和更新出现在该任务自己的 Teams 话题中。 |
Calendars.ReadWrite | 委托 | 当您选择同步任务时，为该任务创建和更新 Outlook 日历事件（时间分块）。在登录时请求，因此之后不会再出现额外的同意提示。 |
Schedule.Read.All | 委托 | 读取您本来就能查看的 Teams 班次排班。它列在同意屏幕上，但目前没有任何 AB Projects 功能使用它。 |
TeamMember.Read.All | 应用程序 | 读取团队中有哪些成员，使项目的成员列表即使在无人登录时也能跟随已链接的频道。 |
ChannelMember.Read.All | 应用程序 | 读取专用或共享频道中有哪些成员。这类频道的成员可能与团队不同，因此这些项目获得的是频道成员，而不是整个团队。 |
团队权限（由团队所有者接受）
有几项权限仅适用于一个团队。Microsoft 将其称为特定于资源的同意：不是由管理员在整个组织范围内授予访问权限，而是在 AB Projects 被添加到团队时，或在更新新增了权限时，由团队所有者接受。这些权限不会在该团队之外授予应用任何访问权限，从团队中移除 AB Projects 后，这些权限也随之撤销。
| 权限 | 类型 | AB Projects 为何需要此权限 |
|---|---|---|
TeamMember.Read.Group | 团队 | 读取此团队的成员列表，用于名册同步。 |
ChannelMessage.Read.Group | 团队 | 让机器人无需被 @提及即可接收此团队频道中的回复，这样任务卡片下的普通回复就会成为任务的评论。在 AB Projects 2.4.0 中新增。AB Projects 只记录其自身任务卡片和文档卡片下话题中的回复。 |
ChannelMessage.Read.Group 才会生效。在此之前，只有 @提及 AB Projects 的回复才会同步。请参阅在频道中使用提及进行评论。管理员须知
- 委托访问不会超出用户本身的权限。上表中的大多数权限都以已登录用户的身份行事 — 如果该用户看不到某个频道，应用也看不到。
- 应用程序权限用于名册同步。它们让 AB Projects 在无人登录时也能使项目成员与其频道保持一致。它们只读取成员身份，不读取消息。
- 回复同步使用的是团队权限，而不是组织范围的权限。
ChannelMessage.Read.Group由团队所有者按团队接受，因此绝不会覆盖尚未接受它的团队。 - 日历写入需按任务主动选择。只有当您明确同步某个任务或从任务中安排会议时，应用才会访问您的日历。
- 控制权始终在您手中。组织范围的权限可随时在 Microsoft Entra ID 中查看或撤销；首次登录时，每个组织可能需要同意一次（请参阅SSO 与 Microsoft 登录）。从团队中移除 AB Projects 后，团队权限即告终止。
简而言之：这些权限的存在是为了让任务、Teams 频道和您的日历保持同步 — 其中没有任何权限会读取您的邮件或文件，同意屏幕始终是权威列表。